กรอบความยืดหยุ่นทางไซเบอร์ที่คุณต้องรู้

กรอบความสามารถในการฟื้นตัวทางไซเบอร์สามารถช่วยให้องค์กรของคุณบรรลุเป้าหมายที่สำคัญ: ทำให้มั่นใจว่าคุณสามารถเตรียมพร้อม ต้านทาน กู้คืน และพัฒนาเพื่อปรับตัวให้เข้ากับการโจมตีทางไซเบอร์และภัยคุกคามอื่น ๆ ต่อระบบไอทีของคุณได้ดีขึ้น ซึ่งอาจขัดขวางธุรกิจของคุณ หรือแม้แต่ทำให้ธุรกิจต้องหยุดชะงักลง .

แต่มีเฟรมเวิร์กความยืดหยุ่นทางไซเบอร์อะไรบ้าง? พวกเขาเสนออะไรกันแน่? และกรอบความสามารถในการฟื้นตัวทางไซเบอร์จะสอดคล้องกับทรัพยากรที่เชื่อถือได้ เช่น ฐานความรู้ MITER ATT&CK ได้อย่างไร อ่านต่อเพื่อรับคำตอบสำหรับคำถามสำคัญเหล่านี้และคำถามสำคัญอื่นๆ เกี่ยวกับการปรับใช้กรอบงานความสามารถในการฟื้นตัวทางไซเบอร์ในองค์กรของคุณ

ความยืดหยุ่นทางไซเบอร์คืออะไร?

ก่อนที่เราจะเจาะลึกกรอบความยืดหยุ่นทางไซเบอร์ เรามาทบทวนความยืดหยุ่นทางไซเบอร์คืออะไร และแตกต่างจากความปลอดภัยทางไซเบอร์อย่างไร

การรักษาความปลอดภัยทางไซเบอร์มุ่งเน้นไปที่การป้องกันการโจมตีทางไซเบอร์และเหตุการณ์ความปลอดภัยอื่น ๆ ไม่ให้เกิดขึ้นและลดความเสียหายที่อาจเกิดขึ้น รวมถึงมาตรการในการป้องกันไม่ให้ฝ่ายตรงข้ามออกจากเครือข่าย เช่น ไฟร์วอลล์และเครื่องมือป้องกันไวรัส และการควบคุมการเข้าถึง เช่น โมเดลที่มีสิทธิ์น้อยที่สุดและการรับรองความถูกต้องแบบหลายปัจจัย (MFA) รวมถึงแนวทางที่ไม่ใช่ทางเทคนิค เช่น การฝึกอบรมการรับรู้ด้านความปลอดภัยสำหรับผู้ใช้ นอกจากนี้ยังมีกลยุทธ์ในการระบุภัยคุกคามที่กำลังดำเนินอยู่และตอบสนองต่อภัยคุกคามได้ทันท่วงทีเพื่อจำกัดผลกระทบ เช่น กิจกรรมการตรวจสอบทั่วทั้งระบบนิเวศไอที พฤติกรรมผู้ใช้และการวิเคราะห์เอนทิตี (UBEA) และการควบคุมการเปลี่ยนแปลง

แต่องค์กรต่างๆ ตระหนักดีว่าถึงแม้ความปลอดภัยทางไซเบอร์ยังคงเป็นข้อกังวลหลัก แต่ก็เป็นเป้าหมายชิ้นหนึ่งที่ใหญ่กว่า นั่นก็คือการรักษาธุรกิจให้ดำเนินต่อไปได้ ดังนั้น ในช่วงไม่กี่ปีที่ผ่านมา ความสนใจได้เปลี่ยนไปสู่ความสามารถในการฟื้นตัวทางไซเบอร์ ความสามารถในการฟื้นตัวทางไซเบอร์เกี่ยวข้องกับการคิดให้กว้างขึ้นเกี่ยวกับความทุกข์ยาก ซึ่งรวมถึงไม่เพียงแค่ฝ่ายตรงข้ามที่โจมตีทรัพยากรทางไซเบอร์อย่างมุ่งร้ายเท่านั้น แต่ยังรวมไปถึงสภาวะที่ไม่พึงประสงค์ ความเครียด หรือการประนีประนอมที่อาจส่งผลกระทบต่อทรัพยากรเหล่านั้น ตัวอย่าง ได้แก่ ภัยพิบัติทางธรรมชาติ ไฟฟ้าขัดข้อง และภาระงานสูงอย่างไม่คาดคิด

การทำงานเพื่อความยืดหยุ่นทางไซเบอร์ยังเกี่ยวข้องกับการใช้ความคิดแบบเหมารวมว่าละเมิดและความเข้าใจว่าการโจมตีสมัยใหม่มักเกี่ยวข้องกับฝ่ายตรงข้ามที่ซ่อนเร้น ต่อเนื่อง และซับซ้อน องค์กรต่างๆ จำเป็นต้องคิดอย่างกว้างๆ เกี่ยวกับสิ่งที่พวกเขาสามารถทำได้เพื่อให้พร้อมสำหรับการดำเนินงาน เนื่องจากมีผู้ไม่ประสงค์ดีที่สามารถสร้างหรือสร้างสถานะในสภาพแวดล้อมด้านไอทีของตนได้แล้ว และดังนั้นจึงอยู่ในตำแหน่งที่จะขโมยข้อมูลสำคัญและขัดขวางบริการที่สำคัญ

กรอบความยืดหยุ่นทางไซเบอร์คืออะไร?

กรอบความสามารถในการฟื้นตัวทางไซเบอร์เป็นแนวทาง — แนวทางปฏิบัติที่ดีที่สุดที่มีโครงสร้างและการควบคุมความปลอดภัยที่แนะนำซึ่งองค์กรสามารถนำมาใช้เพื่อปรับปรุงความสามารถในการบล็อก ต้านทาน และกู้คืนจากภัยคุกคามความปลอดภัยทางไซเบอร์ กรอบความสามารถในการฟื้นตัวทางไซเบอร์ไม่ได้แสดงรายการกฎที่ยากและรวดเร็วในการปฏิบัติตามหรือให้รายละเอียดเกี่ยวกับชุดเทคโนโลยีหรือผลิตภัณฑ์เฉพาะที่จะนำไปปฏิบัติ แต่พวกเขาอธิบายแนวทางปฏิบัติที่ดีที่สุดและให้คำแนะนำที่มีคุณค่าในการปรับปรุงความยืดหยุ่นทางไซเบอร์ของคุณ องค์กรต่างๆ สามารถและควรปรับกรอบการทำงานด้านความสามารถในการฟื้นตัวทางไซเบอร์เพื่อให้บรรลุเป้าหมายและข้อกำหนดเฉพาะของตนเอง

รากฐาน: เฟรมเวิร์กความปลอดภัยทางไซเบอร์เช่น NIST CSF

เฟรมเวิร์กความยืดหยุ่นทางไซเบอร์มีรากฐานมาจากเฟรมเวิร์กความปลอดภัยทางไซเบอร์ ซึ่งได้รับการออกแบบมาเพื่อช่วยให้องค์กรต่างๆ จัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์ บางทีที่รู้จักกันดีที่สุดคือ National Institute of Standards and Technology (NIST) Cybersecurity Framework (CSF) CSF เวอร์ชัน 1.1 ประกอบด้วยฟังก์ชันหลัก 5 ฟังก์ชันดังที่แสดงไว้ที่นี่:

• ระบุ — ค้นหาตัวบ่งชี้ความเสี่ยง (IOEs) แนวทางการโจมตีที่สามารถใช้ประโยชน์ได้ซึ่งฝ่ายตรงข้ามสามารถใช้เพื่อเข้าสู่ระบบนิเวศไอทีของคุณและเคลื่อนที่ไปด้านข้าง และเส้นทางการโจมตีที่แฮกเกอร์สามารถใช้เพื่อยกระดับการเข้าถึงเพื่อให้บรรลุวัตถุประสงค์ . ตัวอย่างได้แก่ ช่องโหว่ของซอฟต์แวร์ อุปกรณ์ที่กำหนดค่าไม่ถูกต้อง และสิทธิ์ที่ซ้อนกัน
• ปกป้อง — ลดช่องโหว่ตามการยอมรับความเสี่ยงของคุณ ตัวอย่างเช่น ป้องกันการเปลี่ยนแปลงกลุ่มความปลอดภัยที่สำคัญและนโยบายกลุ่ม และแก้ไขจุดควบคุมของเส้นทางการโจมตี
• ตรวจจับ — ค้นพบตัวบ่งชี้การบุกรุก (IOC) ด้วยการตรวจสอบแบบเรียลไทม์ การตรวจจับความผิดปกติ และการแจ้งเตือน
• ตอบสนอง — รวบรวมและวิเคราะห์ข้อมูลเกี่ยวกับเหตุการณ์อย่างรวดเร็ว เพื่อให้คุณสามารถตัดสินใจโดยมีข้อมูลประกอบเกี่ยวกับแนวทางปฏิบัติที่ดีที่สุด
• กู้คืน — กู้คืนระบบและข้อมูลอย่างรวดเร็ว แม่นยำ และมีประสิทธิภาพ

NIST CSF 2.0 จะเพิ่มฟังก์ชันที่หก Govern ฟังก์ชันใหม่นี้เน้นย้ำว่าการกำกับดูแลความปลอดภัยทางไซเบอร์มีความสำคัญอย่างยิ่งต่อการจัดการและลดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ เป็นฟังก์ชันแบบตัดขวางที่แจ้งและสนับสนุนผู้อื่น ตัวอย่างเช่น ผลลัพธ์ด้านการกำกับดูแลจะแจ้งให้ทราบถึงการจัดลำดับความสำคัญของการควบคุมความปลอดภัย บางหมวดหมู่ที่ครอบคลุมในฟังก์ชันอื่นๆ ในปัจจุบันจะถูกย้ายไปยังฟังก์ชัน Govern ซึ่งอาจรวมถึงหมวดหมู่ "กลยุทธ์การบริหารความเสี่ยง" และ "สภาพแวดล้อมทางธุรกิจ" ของฟังก์ชัน Identify

ขยายจาก NIST CSF ไปสู่กรอบการทำงานด้านความยืดหยุ่นทางไซเบอร์

อย่างที่คุณเห็น NIST CSF จริงๆ แล้วกำลังก้าวไปสู่การไม่ใช่แค่เฟรมเวิร์กความปลอดภัยทางไซเบอร์ แต่เป็นเฟรมเวิร์กความยืดหยุ่นทางไซเบอร์ด้วย แท้จริงแล้ว เฟรมเวิร์กความยืดหยุ่นทางไซเบอร์จำนวนมากสร้างขึ้นจากฟังก์ชัน NIST CSF ทั้งห้าฟังก์ชัน ซึ่งมักจะเปลี่ยนชื่อและขยายฟังก์ชันเหล่านั้น

โดยเฉพาะอย่างยิ่ง NIST เสนอสิ่งพิมพ์ 800-160 v2 “การพัฒนาระบบที่มีความยืดหยุ่นทางไซเบอร์: แนวทางวิศวกรรมความปลอดภัยของระบบ” ” โดยให้รายละเอียดแนวคิดที่สำคัญและเกี่ยวข้องสองประการสำหรับกรอบความยืดหยุ่นทางไซเบอร์: เป้าหมายด้านความยืดหยุ่นทางไซเบอร์ และวัตถุประสงค์ด้านความยืดหยุ่นทางไซเบอร์

เป้าหมายความยืดหยุ่นทางไซเบอร์

เป้าหมายคือคำแถลงระดับสูงของผลลัพธ์ที่ตั้งใจไว้ เป้าหมายสี่ประการที่อธิบายไว้ในแนวทางของ NIST คือ:

• คาดการณ์ — เป้าหมายนี้คือการรักษาสถานะของการเตรียมพร้อมสำหรับความทุกข์ยาก สิ่งนี้เกี่ยวข้องกับการระบุและบรรเทาจุดอ่อน แต่ยังรวมถึงการวางแผนฉุกเฉินสำหรับเหตุการณ์ภัยคุกคามเพื่อให้แน่ใจว่าคุณสามารถตรวจสอบและตอบสนองต่อการค้นพบช่องโหว่หรือการประนีประนอมได้
• อดทน — เป้าหมายนี้คือเพื่อสานต่อภารกิจสำคัญหรือหน้าที่ทางธุรกิจของคุณต่อไปแม้จะเจอความยากลำบากก็ตาม โดยปกติแล้ว สิ่งนี้จำเป็นต้องระบุภารกิจและหน้าที่ทางธุรกิจที่สำคัญของคุณ ตลอดจนกระบวนการ ระบบ บริการ และโครงสร้างพื้นฐานที่สนับสนุนทั้งหมด สิ่งสำคัญคือต้องจำไว้ว่าความสำคัญของฟังก์ชันและความสามารถในการสนับสนุนสามารถเปลี่ยนแปลงได้ตลอดเวลา
• ฟื้นตัว — เป้าหมายที่สามคือการฟื้นฟูภารกิจหรือหน้าที่ทางธุรกิจของคุณในระหว่างและหลังความยากลำบาก โดยอาจใช้กระบวนการแบบเป็นขั้น (แบบค่อยเป็นค่อยไป) จำเป็นอย่างยิ่งที่จะต้องแน่ใจว่าการกู้คืนไม่สามารถกู้คืนภัยคุกคามได้ ตัวอย่างเช่น การกู้คืนระบบจากการสำรองข้อมูลโดยไม่มีการป้องกันที่เพียงพออาจกู้คืนประตูหลังที่ผู้ไม่หวังดีวางไว้เมื่อหลายสัปดาห์ก่อน
• ปรับตัว — เป้าหมายสุดท้ายคือการปรับเปลี่ยนภารกิจหรือหน้าที่ทางธุรกิจของคุณและความสามารถในการสนับสนุนเพื่อตอบสนองต่อการเปลี่ยนแปลงในสภาพแวดล้อมด้านไอทีและแนวภัยคุกคาม

วัตถุประสงค์ด้านความยืดหยุ่นทางไซเบอร์

วัตถุประสงค์คือข้อความที่เฉพาะเจาะจงมากขึ้นเกี่ยวกับผลลัพธ์ที่ตั้งใจไว้ สิ่งเหล่านี้แสดงออกมาในลักษณะที่เอื้อต่อการประเมินว่า “ดีแค่ไหน” หรือ “เร็วแค่ไหน” หรือ “ด้วยความมั่นใจหรือความไว้วางใจในระดับใด” ที่สามารถบรรลุวัตถุประสงค์ได้ คำแนะนำของ NIST สรุปวัตถุประสงค์ด้านความสามารถในการฟื้นตัวทางไซเบอร์แปดประการ:

• ป้องกันหรือหลีกเลี่ยง — ขัดขวางการดำเนินการโจมตีที่ประสบความสำเร็จหรือการตระหนักถึงสภาวะที่ไม่พึงประสงค์
• เตรียมพร้อม — ยอมรับว่าความทุกข์ยากจะเกิดขึ้นและรักษาชุดการตอบสนองที่สมจริงเพื่อจัดการกับความทุกข์ยากที่คาดการณ์ไว้
• ดำเนินการต่อ — เพิ่มระยะเวลาและความอยู่รอดของภารกิจสำคัญหรือฟังก์ชันทางธุรกิจให้สูงสุดในช่วงที่เกิดความทุกข์ยาก
• จำกัด — จำกัดความเสียหายจากความทุกข์ยากที่เกิดกับสินทรัพย์ที่มีมูลค่าสูง เช่น ที่เก็บหรือประมวลผลข้อมูลที่ละเอียดอ่อน หรือสนับสนุนความสามารถที่สำคัญต่อภารกิจ
• สร้างใหม่ — ฟื้นฟูภารกิจหรือฟังก์ชันทางธุรกิจให้มากที่สุดเท่าที่จะเป็นไปได้หลังความยากลำบาก ขณะเดียวกันก็ทำให้มั่นใจว่าทรัพยากรที่ได้รับการฟื้นฟูนั้นเชื่อถือได้
• ทำความเข้าใจ — รักษาการนำเสนอที่เป็นประโยชน์เกี่ยวกับภารกิจและการพึ่งพาทางธุรกิจ และสถานะของทรัพยากรที่เกี่ยวข้องกับความทุกข์ยากที่อาจเกิดขึ้น (โปรดทราบว่าวัตถุประสงค์นี้สนับสนุนวัตถุประสงค์อื่นๆ ทั้งหมด)
• การเปลี่ยนแปลง — ปรับเปลี่ยนภารกิจหรือหน้าที่ทางธุรกิจและกระบวนการสนับสนุนเพื่อรับมือกับความทุกข์ยากได้ดีขึ้น ซึ่งอาจรวมถึงการเปลี่ยนแปลงทางยุทธวิธีในขั้นตอนหรือการกำหนดค่า ตลอดจนการปรับเปลี่ยนในวงกว้าง เช่น การปรับโครงสร้างความรับผิดชอบในการกำกับดูแล หรือกระบวนการปฏิบัติงาน
• ออกแบบสถาปัตยกรรมใหม่ — ปรับเปลี่ยนระบบ ภารกิจ และสถาปัตยกรรมที่สนับสนุนเพื่อจัดการกับความทุกข์ยากได้อย่างมีประสิทธิภาพมากขึ้น

กรอบวิศวกรรมความยืดหยุ่นทางไซเบอร์ของ MITER (CREF)

การทำความเข้าใจเป้าหมายและวัตถุประสงค์ด้านความยืดหยุ่นเป็นสิ่งสำคัญสำหรับการนำกรอบงานด้านความยืดหยุ่นทางไซเบอร์มาใช้ แต่แล้วการนำเป้าหมายและวัตถุประสงค์เหล่านั้นไปปฏิบัติจริงในองค์กรของคุณล่ะ เข้าสู่ MIRE

MITER เป็นที่รู้จักดีที่สุดในการพัฒนาและรักษาฐานความรู้ที่ครอบคลุมเกี่ยวกับกลยุทธ์และเทคนิคที่ใช้โดยศัตรูทางไซเบอร์ ประกอบด้วย 14 หมวดหมู่ที่เชื่อมโยงคร่าวๆ กับขั้นตอนของห่วงโซ่การสังหารทางไซเบอร์ ตั้งแต่การลาดตระเวนและการเข้าถึงครั้งแรก ผ่านการยกระดับสิทธิ์และการเคลื่อนไหวด้านข้าง ไปจนถึงการกรองและผลกระทบ องค์กรต่างๆ ทั่วโลกใช้เมทริกซ์ MITER ATT&CK เพื่อทำความเข้าใจและป้องกันการโจมตีทางไซเบอร์

แต่ MITER ยังจัดทำกรอบวิศวกรรมด้านความยืดหยุ่นทางไซเบอร์ (CREF) ซึ่งสร้างขึ้นจากกรอบความยืดหยุ่นทางไซเบอร์เช่น NIST โดยไม่เพียงแต่ให้เป้าหมายและวัตถุประสงค์ด้านความยืดหยุ่นเท่านั้น แต่ยังรวมถึงเทคนิคความยืดหยุ่นด้วย:

ดังที่คุณเห็น เป้าหมายและวัตถุประสงค์ที่ระบุไว้โดย MITER ค่อนข้างคล้ายกับที่ระบุไว้โดย NIST คุณควรใช้เวอร์ชันใดก็ได้ที่เหมาะกับความต้องการขององค์กรของคุณมากที่สุด ที่นี่ เรามาเน้นที่เทคนิคความยืดหยุ่นทางไซเบอร์ที่สามารถช่วยให้คุณบรรลุวัตถุประสงค์ด้านความยืดหยุ่นทางไซเบอร์ของคุณ

เทคนิคความยืดหยุ่นทางไซเบอร์

MITER ให้รายละเอียดเกี่ยวกับเทคนิคความยืดหยุ่นทางไซเบอร์ต่อไปนี้:

• การตอบสนองแบบปรับเปลี่ยนได้ — ตอบสนองต่อเหตุการณ์แบบไดนามิกเพื่อรักษาความสามารถในการปฏิบัติงานและจำกัดความเสียหาย
• การตรวจสอบการวิเคราะห์ — รวบรวมและวิเคราะห์ข้อมูลอย่างต่อเนื่องเพื่อระบุช่องโหว่และข้อบ่งชี้ถึงความยากลำบากที่อาจเกิดขึ้น
• การป้องกันแบบประสานงาน — ใช้กลยุทธ์การป้องกันเชิงลึกเพื่อปกป้องทรัพยากรที่สำคัญ
• การหลอกลวง — สร้างความสับสนและทำให้ฝ่ายตรงข้ามเข้าใจผิด
• ความหลากหลาย — ใช้เทคโนโลยี แหล่งข้อมูล สถานที่ และเส้นทางการสื่อสารที่หลากหลายเพื่อลดความเสี่ยงของความล้มเหลวทั่วไป
• การวางตำแหน่งแบบไดนามิก — กระจายและย้ายตำแหน่งฟังก์ชันและสินทรัพย์แบบไดนามิก
• การนำเสนอแบบไดนามิก — ใช้การนำเสนอแบบไดนามิกของส่วนประกอบ บริการ ระบบ ความยากลำบาก และการตอบสนอง
• ไม่คงอยู่ — จำกัดเวลาที่คุณเก็บรักษาข้อมูล บริการ และการเชื่อมต่อเพื่อลดความเสี่ยงของการทุจริต การดัดแปลง หรือการเข้าครอบครอง
• ข้อจำกัดของสิทธิ์ — จำกัดสิทธิ์ที่มอบให้แก่ผู้ใช้และหน่วยงานทางไซเบอร์อื่นๆ อย่างเคร่งครัดตามสิทธิ์ที่น้อยที่สุด โดยเฉพาะอย่างยิ่งสำหรับทรัพยากรที่สำคัญ
• การปรับเปลี่ยน — ปรับการจัดตำแหน่งของทรัพยากรให้สอดคล้องกับหน้าที่ภารกิจเพื่อลดความเสี่ยง
• ความซ้ำซ้อน — มีข้อมูลและทรัพยากรที่สำคัญหลายอินสแตนซ์
• การแบ่งส่วน/การแยก — แยกส่วนประกอบ ทั้งในเชิงตรรกะหรือทางกายภาพ เพื่อลดการแพร่กระจายของความเสียหาย
• ความสมบูรณ์ที่พิสูจน์ได้ — ใช้กลไกเพื่อพิจารณาว่าทรัพยากรที่สำคัญได้รับความเสียหายหรือไม่
• คาดเดาไม่ได้ — ทำการเปลี่ยนแปลงบ่อยครั้งและสุ่มเพื่อทำให้การโจมตีของคุณคาดเดาได้ยากขึ้น

โปรดทราบว่า CREF มีเจตนาไม่สมบูรณ์ ไม่รวมถึงวัตถุประสงค์ด้านความยืดหยุ่นและเทคนิคที่เกี่ยวข้องกับภัยคุกคามที่ไม่ใช่ทางไซเบอร์ เช่น ภัยพิบัติทางธรรมชาติและข้อผิดพลาดของมนุษย์

เนื่องจากวัตถุประสงค์สามารถรองรับได้หลายเป้าหมาย และเทคนิคส่วนใหญ่รองรับหลายวัตถุประสงค์ สิ่งต่างๆ จึงมีความซับซ้อนได้อย่างรวดเร็ว หากต้องการความช่วยเหลือในการแสดงความสัมพันธ์ระหว่างเป้าหมาย วัตถุประสงค์ และเทคนิคด้านความสามารถในการฟื้นตัวทางไซเบอร์ โปรดดูที่ Cyber Resiliency Engineering Framework Navigator ของ MITRE ฟรี

กรอบการประเมินความปลอดภัยทางไซเบอร์ (CAF)

ส่วนสำคัญในการปรับปรุงความยืดหยุ่นทางไซเบอร์ของคุณคือการมีวิธีวัดผล ด้วยวิธีนี้ คุณจะสามารถระบุขั้นตอนที่ต้องดำเนินการ จัดลำดับความสำคัญของการลงทุน และวัดความก้าวหน้าของคุณในช่วงเวลาหนึ่ง รวมถึงแสดงหลักฐานเพื่อจัดสรรงบประมาณสำหรับงาน

กรอบการประเมินความปลอดภัยทางไซเบอร์ (CAF) ได้รับการพัฒนาโดยศูนย์ความมั่นคงทางไซเบอร์แห่งชาติ (NCSC) เพื่อช่วยปรับปรุงความปลอดภัยของเครือข่ายและระบบข้อมูลทั่วสหราชอาณาจักร โดยเฉพาะอย่างยิ่งหน่วยงานที่สนับสนุนหน้าที่ที่สำคัญต่อเศรษฐกิจ สังคม สิ่งแวดล้อม และบุคคล อย่างไรก็ตาม มันสามารถเป็นเครื่องมืออันมีค่าสำหรับองค์กรใดๆ ที่สนใจประเมินความสามารถในการฟื้นตัวทางไซเบอร์ โดยให้แนวทางที่เป็นระบบและครอบคลุมสำหรับการประเมินขอบเขตความเสี่ยงทางไซเบอร์ต่อการทำงานที่สำคัญที่ได้รับการจัดการ

CAF มีรากฐานมาจากหลักการ 14 ประการที่กระจายอยู่ในวัตถุประสงค์สี่ประการ หลักการอธิบายถึงผลลัพธ์ที่ต้องทำให้สำเร็จ แทนที่จะจัดทำรายการตรวจสอบว่าต้องทำอย่างไร นำเสนอด้วยภาษาที่ตรงไปตรงมา:

• วัตถุประสงค์ A: การจัดการความเสี่ยงด้านความปลอดภัย

  • 1 ธรรมาภิบาล
  • 2 การบริหารความเสี่ยง
  • 3 การจัดการสินทรัพย์
  • 4 ห่วงโซ่อุปทาน

• วัตถุประสงค์ B: การป้องกันการโจมตีทางไซเบอร์

  • 1 นโยบายและกระบวนการคุ้มครองบริการ
  • 2 การระบุตัวตนและการควบคุมการเข้าถึง
  • 3 ความปลอดภัยของข้อมูล
  • 4 ความปลอดภัยของระบบ
  • 5 เครือข่ายและระบบที่ยืดหยุ่น
  • 6 การตระหนักรู้และการฝึกอบรมพนักงาน

• วัตถุประสงค์ C: การตรวจจับเหตุการณ์ความปลอดภัยทางไซเบอร์

  • 1 การตรวจสอบความปลอดภัย
  • 2 การค้นพบเหตุการณ์ความปลอดภัยเชิงรุก

• วัตถุประสงค์ D: การลดผลกระทบของเหตุการณ์ความปลอดภัยทางไซเบอร์ให้เหลือน้อยที่สุด

  • 1 การวางแผนตอบสนองและการฟื้นฟู
  • 2 บทเรียนที่ได้รับ

การประเมินของ CAF จะประเมินมาตรการรักษาความปลอดภัยทางไซเบอร์ขององค์กรโดยเทียบกับวัตถุประสงค์และหลักการเหล่านี้ และระบุพื้นที่ที่ต้องปรับปรุง เช่น ซอฟต์แวร์ที่ล้าสมัย แพตช์ที่ขาดหายไป หรือการควบคุมการเข้าถึงที่ไม่เพียงพอ ข้อมูลนี้สามารถใช้เพื่อพัฒนาแผนงานสำหรับการดำเนินการเปลี่ยนแปลงเพื่อเสริมสร้างความยืดหยุ่นทางไซเบอร์อย่างมีประสิทธิภาพสูงสุด การประเมิน CAF เป็นประจำยังช่วยให้องค์กรต่างๆ มีช่องทางในการติดตามความคืบหน้าในการปรับปรุงความสามารถในการฟื้นตัวทางไซเบอร์

แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยของ Center for Internet Security (CIS)

ศูนย์ความปลอดภัยทางอินเทอร์เน็ตยังเสนอคำแนะนำที่มีคุณค่าสำหรับการปรับปรุงความยืดหยุ่นทางไซเบอร์ ซึ่งตั้งฉากกับกรอบความยืดหยุ่นทางไซเบอร์ที่เราได้สำรวจไปแล้ว แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยของ CIS เป็นชุดการดำเนินการที่กำหนดและจัดลำดับความสำคัญซึ่งองค์กรต่างๆ สามารถนำไปใช้เพื่อป้องกันการโจมตีทางไซเบอร์ ซึ่งรวมถึง CIS Critical Security Controls (CIS Controls) และ CIS Benchmarks

การควบคุมความปลอดภัยที่สำคัญของ CIS

CIS Controls ให้รายละเอียดการป้องกันที่เฉพาะเจาะจง ใช้งานได้จริง และวัดผลได้ และได้รับการอัปเดตเป็นประจำเพื่อสะท้อนการเปลี่ยนแปลงของเทคโนโลยี แนวทางปฏิบัติที่ดีที่สุด และภาพรวมภัยคุกคาม ในเวอร์ชัน 8 การควบคุมจะจัดตามกิจกรรม ไม่ใช่ตามผู้ที่จัดการอุปกรณ์:

1. สินค้าคงคลังและการควบคุมทรัพย์สินขององค์กร
2. สินค้าคงคลังและการควบคุมสินทรัพย์ซอฟต์แวร์
3. การป้องกันข้อมูล
4. การกำหนดค่าสินทรัพย์และซอฟต์แวร์ขององค์กรอย่างปลอดภัย
5. การจัดการบัญชี
6. การจัดการควบคุมการเข้าถึง
7. การจัดการช่องโหว่อย่างต่อเนื่อง
8. การจัดการบันทึกการตรวจสอบ
9. การป้องกันอีเมลและเว็บเบราว์เซอร์
10. การป้องกันมัลแวร์
11. การกู้คืนข้อมูล
12. การจัดการโครงสร้างพื้นฐานเครือข่าย
13. การตรวจสอบและการป้องกันเครือข่าย
14. การฝึกอบรมความตระหนักรู้ด้านความปลอดภัยและทักษะ
15. การจัดการผู้ให้บริการ
16. ความปลอดภัยของซอฟต์แวร์ประยุกต์
17. การจัดการตอบสนองต่อเหตุการณ์
18. การทดสอบการเจาะ

ตัวอย่างเช่น การควบคุม 11 ให้รายละเอียดการป้องกันต่อไปนี้สำหรับการกู้คืนข้อมูล:

• สร้างและรักษากระบวนการกู้คืนข้อมูล
• ทำการสำรองข้อมูลอัตโนมัติ
• ปกป้องข้อมูลการกู้คืน
• สร้างและดูแลรักษาอินสแตนซ์การกู้คืนข้อมูลแบบแยกส่วน
• ทดสอบข้อมูลการกู้คืน

เกณฑ์มาตรฐาน CIS

เกณฑ์มาตรฐาน CIS ให้รายละเอียดแนวทางปฏิบัติที่ดีที่สุดสำหรับการกำหนดค่าที่ปลอดภัยของระบบต่างๆ รวมถึง:

• เดสก์ท็อปและเว็บเบราว์เซอร์
• อุปกรณ์เคลื่อนที่
• อุปกรณ์เครือข่าย
• เซิร์ฟเวอร์
• แพลตฟอร์มการจำลองเสมือน
• แอปพลิเคชันไมโครซอฟต์ออฟฟิศ

ISO/IEC 27001 และ 27002

องค์การระหว่างประเทศเพื่อการมาตรฐาน (ISO) และคณะกรรมการเทคนิคไฟฟ้าระหว่างประเทศ (IEC) กำหนดมาตรฐานที่เกี่ยวข้องสองมาตรฐานสำหรับความปลอดภัยของข้อมูล ความปลอดภัยทางไซเบอร์ และการปกป้องความเป็นส่วนตัว: ISO/IEC 27001 และ ISO/IEC 27002

ISO/IEC 27001 ได้รับการออกแบบมาเพื่อช่วยให้องค์กรสร้างรากฐานที่มั่นคงสำหรับความปลอดภัยของข้อมูล มาตรฐานสากลที่ตรวจสอบได้นี้กำหนดข้อกำหนดของระบบการจัดการความปลอดภัยของข้อมูล (ISMS) โดยระบุข้อกำหนดสำหรับการสร้าง การนำไปใช้ การรักษา และปรับปรุง ISMS อย่างต่อเนื่อง และสำหรับการประเมินและแก้ไขความเสี่ยงด้านความปลอดภัยของข้อมูล

การรับรองมาตรฐาน ISO/IEC 27001 แสดงให้เห็นว่าองค์กรปฏิบัติตามกระบวนการรักษาความปลอดภัยข้อมูลแนวปฏิบัติที่ดีที่สุด องค์กรที่ไม่เลือกได้รับการรับรอง ISO 27001 ยังคงสามารถใช้มาตรฐานดังกล่าวเพื่อปรับปรุงความปลอดภัยของข้อมูลและความสามารถในการฟื้นตัวทางไซเบอร์ได้

ISO/IEC 27002 เป็นส่วนเสริม ISO/IEC 27001 โดยจัดให้มีชุดอ้างอิงของการควบคุมความปลอดภัยของข้อมูลทั่วไป แม้ว่า ISO 27001 จะอธิบายการควบคุมแต่ละอย่างโดยย่อ แต่ ISO 27002 ก็ให้รายละเอียดที่สำคัญ รวมถึงคำแนะนำในการดำเนินการ องค์กรไม่สามารถได้รับการรับรองตามมาตรฐาน ISO 27002 ได้ เนื่องจากไม่ใช่มาตรฐานการจัดการ

คำสั่ง NIS2

คำสั่ง Network and Information Security (NIS) ซึ่งประกาศใช้ในปี 2559 ถือเป็นกฎหมายฉบับแรกของสหภาพยุโรปเกี่ยวกับความปลอดภัยทางไซเบอร์ โดยมีจุดมุ่งหมายเพื่อให้บรรลุความปลอดภัยทางไซเบอร์ในระดับทั่วไปในระดับสูงทั่วทั้งประเทศสมาชิกสหภาพยุโรป กำหนดให้ผู้ให้บริการที่จำเป็นและผู้ให้บริการดิจิทัลใช้มาตรการรักษาความปลอดภัยที่เหมาะสม และรายงานเหตุการณ์ที่ส่งผลกระทบอย่างมีนัยสำคัญต่อความพร้อมใช้งานของบริการของตน

แม้ว่า NIS จะเป็นก้าวแรกที่มั่นคง แต่ก็มีความท้าทายในการดำเนินการ รวมถึงการขาดความชัดเจนเกี่ยวกับความคาดหวังของคำสั่งนี้หลังจากการโยกย้ายไปสู่กฎหมายระดับชาติ เพื่อแก้ไขปัญหาเหล่านั้น สหภาพยุโรปผ่าน NIS2 ในเดือนมกราคม 2023 รัฐสมาชิกมีเวลาจนถึง 18 ตุลาคม 2024 ในการดำเนินการตามคำสั่งใหม่ในกฎหมายของประเทศของตน

การเปลี่ยนแปลงที่สำคัญใน NIS2 มีดังต่อไปนี้:

• ความรับผิดส่วนบุคคลสำหรับทีมผู้บริหาร — การไม่ปฏิบัติตาม NIS2 อาจส่งผลให้เกิดคำสั่งบังคับใช้และค่าปรับจำนวนมาก นอกจากนี้ NIS2 ยังแนะนำความรับผิดส่วนบุคคลสำหรับคณะกรรมการบริษัท ผู้บริหาร และหน่วยงานการจัดการอื่นๆ
• การเปลี่ยนแปลงประเภทองค์กร — แทนที่จะแยกความแตกต่างระหว่าง "ผู้ดำเนินการบริการที่จำเป็น" และ "ผู้ให้บริการดิจิทัล" NIS2 แยกความแตกต่างระหว่าง "หน่วยงานที่สำคัญ" และ "หน่วยงานที่สำคัญ" ตามภาคส่วนและขนาดของผู้ให้บริการ . หน่วยงานที่สำคัญอยู่ภายใต้ข้อกำหนดการบังคับใช้และการกำกับดูแลที่เข้มงวดยิ่งขึ้น
• ขอบเขตที่ขยาย — องค์กรเพิ่มเติมอยู่ในขอบเขตของคำสั่ง หมวดหมู่ใหม่ๆ ได้แก่ ผู้ผลิตอุปกรณ์ทางการแพทย์ ผู้ให้บริการเครือข่ายโซเชียล และผู้แปรรูปอาหาร
• ข้อกำหนดใหม่ — NIS2 กำหนดภาระผูกพันใหม่สำหรับการรายงานเหตุการณ์และการบริหารความเสี่ยง เช่น การบริหารความเสี่ยงในห่วงโซ่อุปทาน
• การทำงานร่วมกันที่ดีขึ้น — NIS2 มุ่งหวังที่จะยกระดับความร่วมมือและการแบ่งปันความรู้ระหว่างประเทศสมาชิกผ่านกลไกต่างๆ เช่น การทบทวนโดยผู้ทรงคุณวุฒิ

กรอบความยืดหยุ่นทางไซเบอร์และการปฏิบัติตามกฎระเบียบ

แม้ว่า NIS2 จะเป็นคำสั่งที่ใช้กับหลายองค์กรในสหภาพยุโรป แต่กรอบงานความปลอดภัยทางไซเบอร์และความสามารถในการฟื้นตัวทางไซเบอร์ส่วนใหญ่ได้รับการออกแบบให้เป็นไปโดยสมัครใจและเผยแพร่โดยองค์กรที่ไม่ใช่หน่วยงานกำกับดูแล อย่างไรก็ตาม เนื่องจากสร้างขึ้นจากแนวทางปฏิบัติที่ดีที่สุดที่กำหนดไว้สำหรับความปลอดภัยทางไซเบอร์และความสามารถในการฟื้นตัวทางไซเบอร์ การใช้งานจึงได้รับคำสั่งจากกฎระเบียบบางประการ

ตัวอย่างเช่น NIST ไม่ใช่หน่วยงานกำกับดูแล แต่เป็นคำสั่งผู้บริหารที่ 13800 การเสริมสร้างความปลอดภัยทางไซเบอร์ของเครือข่ายของรัฐบาลกลางและโครงสร้างพื้นฐานที่สำคัญ ทำให้กรอบการทำงานความยืดหยุ่นทางไซเบอร์ของ NIST CIF บังคับใช้สำหรับหน่วยงานรัฐบาลกลางของสหรัฐอเมริกา และหน่วยงานรัฐบาลอื่นๆ ในทำนองเดียวกัน NCSC เป็นหน่วยงานทางเทคนิคระดับชาติด้านความปลอดภัยทางไซเบอร์ และในขณะที่พัฒนา CAF ด้วยความคาดหวังว่าจะถูกนำมาใช้เพื่อสนับสนุนกฎระเบียบทางไซเบอร์ แต่ NCSC เองก็ไม่มีความรับผิดชอบด้านกฎระเบียบ

มาตรฐานการปฏิบัติตามข้อกำหนดอื่นๆ จำนวนมากใช้กรอบงานความปลอดภัยทางไซเบอร์และการพึ่งพาทางไซเบอร์ ตัวอย่างเช่น มาตรฐานความปลอดภัยของข้อมูลอุตสาหกรรมบัตรชำระเงิน (PCI DSS) กำหนดให้ปกป้องข้อมูลที่ละเอียดอ่อนของผู้ถือบัตร (ข้อกำหนด 3) และการเข้ารหัสข้อมูลที่ส่งผ่านเครือข่ายสาธารณะ (ข้อกำหนด 4) NIST นำเสนอแนวทางปฏิบัติที่ดีที่สุดในอุตสาหกรรมที่สามารถช่วยตอบสนองข้อกำหนดเหล่านี้ รวมถึงวิธีการใช้งานการเข้ารหัสและการจัดการคีย์การเข้ารหัส

วิธีเริ่มต้นใช้งานกรอบความยืดหยุ่นทางไซเบอร์

ขั้นตอนแรกที่สำคัญในการนำกรอบงานความยืดหยุ่นทางไซเบอร์มาใช้นั้นไม่ใช่ด้านเทคนิคเลย แต่เป็นการรวบรวมทีมที่เหมาะสม การได้รับการสนับสนุนในระดับ C-suite ถือเป็นสิ่งสำคัญ หัวหน้าเจ้าหน้าที่รักษาความปลอดภัย (CSO) หรือหัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูล (CISO) มีความสำคัญอย่างยิ่งในการได้รับภาพที่ชัดเจนว่ากรอบการทำงานเหมาะสมกับภารกิจของตนอย่างไร แต่วิธีที่ดีที่สุดคือได้รับการตอบรับจากผู้อื่นให้ได้มากที่สุด เช่น ประธานเจ้าหน้าที่บริหาร การเงิน ความเป็นส่วนตัว และเจ้าหน้าที่ความเสี่ยง แม้ว่าการได้รับงบประมาณเป็นเหตุผลสำคัญประการหนึ่งในการทำให้พวกเขามีส่วนร่วม แต่ก็ไม่ใช่เหตุผลเดียวเท่านั้น: การเปิดรับความยืดหยุ่นทางไซเบอร์จำเป็นต้องมีการเปลี่ยนแปลงทั้งในด้านนโยบายและวัฒนธรรม ซึ่งจำเป็นต้องได้รับการขับเคลื่อนและสนับสนุนตั้งแต่ระดับ C ลงมา

จากนั้นก็มีเรื่องของการเลือกกรอบการทำงาน ดังที่เราได้เห็นแล้วว่าเฟรมเวิร์กความยืดหยุ่นทางไซเบอร์ถูกสร้างขึ้นจากรากฐานเดียวกัน: แนวทางปฏิบัติที่ดีที่สุดที่รู้จักกันดี ดังนั้นจึงเป็นเรื่องสำคัญน้อยกว่ากรอบงานที่คุณเลือกมากกว่าการเริ่มต้นใช้งาน ประเด็นหลักที่ต้องจัดการ ได้แก่:

• ทำความเข้าใจพันธกิจขององค์กรและฟังก์ชันทางธุรกิจตลอดจนกระบวนการและเครื่องมือสนับสนุน พิจารณาว่าอะไรคือสิ่งสำคัญในการทำให้องค์กรของคุณก้าวไปข้างหน้า แม้ว่าจะไม่ได้ทำงานด้วยความเร็วสูงสุดก็ตาม นั่นคือสิ่งที่คุณต้องการมุ่งความสนใจของคุณเป็นอันดับแรก ในสภาพแวดล้อมที่ใช้ Microsoft Active Directory จะอยู่ด้านบนสุดของรายการ ดังนั้นอย่าลืมรวมการจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์สำหรับ Active Directory ด้วย
• ใช้กรอบความคิดแบบสันนิษฐานว่าฝ่าฝืนอันที่จริง ใช้กรอบความคิดแบบสมมติ-ความยากลำบาก ดังที่เราได้เห็นแล้วว่า ความทุกข์ยากมาไม่เพียงแต่ในรูปแบบของการโจมตีทางไซเบอร์ภายนอกเท่านั้น แต่ยังมาในรูปแบบของภัยคุกคามจากภายใน ความผิดพลาด ความล้มเหลวของอุปกรณ์ ภัยธรรมชาติ และอื่นๆ เริ่มถามว่าคุณสามารถลดความเสี่ยงของความทุกข์ยากที่เกิดขึ้นได้อย่างไร และคุณจะตอบสนองอย่างมีประสิทธิผลสูงสุดได้อย่างไรเมื่อเป็นเช่นนั้น เพื่อที่คุณจะได้ไม่ทำให้การดำเนินงานของคุณหยุดชะงัก
• โปรดจำไว้ว่าความยืดหยุ่นทางไซเบอร์คือการเดินทาง ไม่ใช่จุดหมายปลายทาง ตั้งความคาดหวังสำหรับทุกคน ไม่ว่าจะเป็นทีมไอที ผู้ใช้ทางธุรกิจ และผู้บริหารระดับสูง ว่าไม่มีกลยุทธ์ด้านความยืดหยุ่นทางไซเบอร์ที่สมบูรณ์แบบ และไม่มีใครสามารถคงความสมบูรณ์แบบใน การเผชิญกับการเปลี่ยนแปลงอย่างต่อเนื่องในด้านเทคโนโลยี กระบวนการ และภาพรวมภัยคุกคาม กรอบความสามารถในการฟื้นตัวทางไซเบอร์ได้รับการออกแบบมาเพื่อให้คำแนะนำในระดับสูง และได้รับการแก้ไขเป็นประจำด้วยเหตุผลดังกล่าว

บทสรุป

กรอบความสามารถในการฟื้นตัวทางไซเบอร์ให้คำแนะนำแนวทางปฏิบัติที่ดีที่สุดอันล้ำค่าแก่องค์กรต่างๆ ซึ่งช่วยให้พวกเขาเตรียมพร้อม ต้านทาน ฟื้นตัวจาก และปรับตัวเข้ากับความยากลำบาก ตั้งแต่การโจมตีทางไซเบอร์ไปจนถึงภัยพิบัติทางธรรมชาติ

ไม่จำเป็นต้องถูกคุกคามจากกรอบความยืดหยุ่นทางไซเบอร์ที่หลากหลายและทรัพยากรที่เกี่ยวข้องที่มีอยู่ กรอบงานความยืดหยุ่นทางไซเบอร์ของ NIST เป็นจุดเริ่มต้นที่ดี โดยจะอธิบายเป้าหมายหลักและวัตถุประสงค์ที่เป็นหัวใจสำคัญของกลยุทธ์ที่แข็งแกร่ง เมื่อคุณพร้อมที่จะเริ่มใช้งาน MITER ให้รายละเอียดเกี่ยวกับเทคนิคความยืดหยุ่นทางไซเบอร์ที่คุณจำเป็นต้องรู้ และ NIS2 เสนอคำแนะนำเชิงปฏิบัติและนำไปปฏิบัติได้ ซึ่งมีคุณค่าแม้กระทั่งสำหรับองค์กรที่ไม่อยู่ในขอบเขต

หวังว่าบทความนี้จะช่วยคุณในการเริ่มต้นเส้นทางสู่ความยืดหยุ่นทางไซเบอร์ที่ดีขึ้น